아무도 Revolut를 뚫지 않았다. 누군가 훔친 정부 메일함으로 경찰 공문을 보냈을 뿐이다

Revolut는 약 680명의 유럽 고객 데이터가 자사 인프라를 전혀 건드리지 않은 범죄자들에게 넘어갔다고 확인했다. 그들은 데이터를 그냥 "요청"했다. 탈취당한 이탈리아 정부 메일함에서 수사기관 공문의 모양새를 갖춘 요청이 도착했고, Revolut는 약 다섯 달 동안 여기에 응답했다.

이것은 취약점 이야기가 아니다. CVE도, 패치도, 영향받는 버전 표도 없다. 무너진 지점은 모든 은행과 거래소, 플랫폼이 운영하면서도 거의 아무도 보안 경계로 취급하지 않는 통로다. 바로 경찰의 요청에 답하는 창구다.

무엇이 넘어갔는가

요청은 그룹의 리투아니아 등록 은행 법인인 Revolut Bank UAB 앞으로, 이탈리아 우편경찰(Postal Police) 명의로 접수됐다. Security Affairs에 따르면 발신 계정은 내무부의 인증 이메일 도메인인 pec.interno.it 상에 있었고 레조칼라브리아 도청과 연결된 것이었다. 요청은 유럽수사명령(European Investigation Order) 형식을 띠었다. EU 회원국이 다른 회원국에 증거 제출을 강제할 때 쓰는 국경 간 절차다. 대상자는 암호화폐 주소를 묶음으로 제출하고 그 배후가 누구인지 조회하는 방식으로 선별됐다.

Revolut는 내부 시스템과 고객 자금은 침해되지 않았으며, 해당 활동을 탐지한 시점에 문제의 주소를 차단하고 영향받은 고객에게 연락했다고 밝혔다. 금전 요구에 대해 회사는 SecurityWeek에 이렇게 말했다.

Revolut는 이러한 주장을 하는 개인이나 집단으로부터 어떠한 직접 연락이나 요구도 받은 바 없다.

"IAmNotAVillain"이라는 별칭을 쓰는 이 행위자는 회사에 직접 접촉하는 대신 요구를 공개했고, 데이터를 다른 범죄 조직에 팔겠다고 위협했다.

메일함 자체가 자격증명이었다

이탈리아의 PEC는 법적 효력을 갖는 인증 이메일 제도이고, 그래서 pec.interno.it에서 온 메시지는 그만한 무게를 가졌다. 그러나 그 뒤에 있던 침해는 평범했다. CyberInsider에 따르면 Hudson Rock은 해당 도메인의 자격증명 약 300건이 흔한 인포스틸러 로그에 섞여 있는 것을 확인했다. 일상적인 계정 탈취를 떠받치는 것과 똑같은, 유출된 비밀번호 더미다. 내무부를 뚫을 필요가 없었다. 필요한 것은 단말이 감염된 공무원 한 명과, 그 결과물을 푼돈에 되파는 시장뿐이었다.

여기서 드러나는 비대칭은 곱씹어볼 만하다. 은행은 인증과 사기 점수화, 거래 모니터링에 막대한 돈을 쓴다. 그러면서 실질적인 신원 확인이 발신 도메인과 문서의 겉모양뿐인 받은편지함을 바깥에 열어둔다.

요청 창구는 운영 환경 접근 경로다

수사기관 대응 기능은 금융기관이 보유한 가장 민감한 데이터, 즉 신분증과 잔액, 거래 상대방, 자금 이동으로 이어지는 하나의 접근 경로다. 그런데 이 기능은 대개 엔지니어링이 아니라 법무나 컴플라이언스 업무로 운영된다. 그 결과 같은 데이터로 향하는 다른 어떤 경로였다면 당연히 요구됐을 통제가 하나도 적용되지 않는다. 요청자에 대한 강력한 인증도, 속도 제한도, 한 발신처가 갑자기 수백 건을 조회할 때의 이상 탐지도, 누군가 실제로 들여다보는 감사 기록도 없다.

해법은 화려하지 않고 대체로 절차적인 것들이다. 요청한 담당자를 요청서에 적힌 번호가 아니라 해당 기관이 공표한 번호로, 별도 경로를 통해 확인할 것. 단일 발신처에서 요청량이 급증하면 업무량 문제가 아니라 사고 신호로 취급할 것. 정보 제공 기록을 보안팀이 볼 수 있는 곳에 남길 것. 이 중 몇 가지만 작동했어도 다섯 달의 창은 며칠로 줄었을 것이다.

유럽이 아직 답하지 못한 규제 문제도 남아 있다. Euronews에 따르면 레조칼라브리아 검찰이 수사에 착수했고, 국가 반마피아·대테러국이 관여하고 있으며, 이탈리아 개인정보보호 당국이 확인 작업에 들어가 리투아니아의 상대 기관과 연락을 취했다. 국경을 넘는 법적 요청을 어떻게 인증할 것인지, 그 기준을 책임지는 주체는 아직 없다. 그때까지 신뢰 모델은 발신자의 이메일 도메인이다.

피해자가 전제해야 할 것

680명에게 실질적 위험은 당장의 것이라기보다 오래가는 것이다. 여권과 운전면허증, 본인확인 셀피는 교체되지 않는다. 이 자료는 계좌 개설 사기와, 다른 사업자를 상대로 한 SIM 스와핑 및 고객센터 사칭의 원재료이며 수년간 쓸모가 있다. 통지를 받은 사람은 실제 계좌 정보를 인용하는 정교한 표적형 사회공학을 예상해야 하고, 이 사건을 언급하며 먼저 걸려오는 연락은 일단 적대적인 것으로 취급하는 편이 안전하다.

확인되지 않은 주장도 하나 남아 있다. 같은 행위자는 이탈리아 수사기관 시스템에 약 6개월간 접근해 내부 자료 약 147GB를 빼냈다고 주장한다. 이는 공격자 측 주장으로, 보도되기는 했으나 확인된 바 없고 수사 당국도 이 수치를 뒷받침하지 않았다.

Sources: SecurityWeek · Security Affairs · Euronews · CyberInsider